△ Ratgeber
Sicherheitslücken auf der Firmenwebsite: Was Inhaber jetzt wissen müssen
Websites auf Basis von WordPress, Typo3 oder Joomla laufen mit der Programmiersprache PHP und vielen Erweiterungen. Wird davon etwas nicht regelmäßig aktualisiert, entstehen Sicherheitslücken. Für Firmen heißt das: Warnhinweise bei Google, Datenschutzpflichten und Ausfälle. Wer nicht dauerhaft pflegen will, fährt mit einer modernen, schlanken Website ohne Datenbank und Plugins sicherer.
Worum geht es? Einfach erklärt
Stellen Sie sich Ihre Website wie ein Ladengeschäft vor. Bei einem klassischen System wie WordPress steht im Hinterzimmer eine Maschine, die bei jedem Besucher die Seite neu zusammenbaut: PHP auf dem Server, dazu eine Datenbank und oft 10 bis 30 Erweiterungen (Plugins) von unterschiedlichen Herstellern. Jedes dieser Teile ist eine Tür. Sobald in einem Teil eine Schwachstelle bekannt wird, suchen automatische Programme im Internet gezielt nach Websites, bei denen diese Tür noch offen steht. Das passiert nicht, weil jemand gezielt Ihre Firma angreift, sondern weil Ihre Seite zufällig im Raster auftaucht.
Warum das gerade bei kleinen Firmen passiert
- Die Website wurde vor Jahren gebaut, der damalige Dienstleister kümmert sich nicht mehr darum.
- Updates werden aufgeschoben, weil man Angst hat, dass danach etwas nicht mehr funktioniert.
- Plugins wurden von ihren Entwicklern aufgegeben und bekommen keine Sicherheitsupdates mehr.
- Beim Hoster läuft noch eine alte PHP-Version, die offiziell nicht mehr mit Sicherheitsupdates versorgt wird.
- Niemand im Unternehmen weiß genau, wer die Zugangsdaten hat und wer zuständig ist.
Die vier echten Risiken für Ihr Unternehmen
| Risiko | Was konkret passiert | Folge für Sie |
|---|---|---|
| Google-Warnung | Google erkennt Schadcode und zeigt Besuchern einen roten Warnhinweis oder blendet die Seite in der Suche ab | Interessenten springen ab, Anfragen bleiben aus |
| Datenschutz | Angreifer greifen auf Formulardaten oder E-Mail-Adressen zu | Mögliche Meldepflicht an die Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO) |
| Missbrauch | Ihre Seite leitet heimlich auf Spam- oder Fake-Shops weiter oder verschickt Spam-Mails | Rufschaden, E-Mails Ihrer Domain landen im Spam |
| Ausfall und Kosten | Seite ist offline oder muss aufwendig bereinigt werden | Notfall-Stundensätze, Tage ohne Website |
Der 5-Minuten-Check für Inhaber
Sie müssen nicht programmieren können. Beantworten Sie diese Fragen, oder leiten Sie sie an Ihren Dienstleister weiter:
- Wann wurde die Website zuletzt aktualisiert, und von wem?
- Welche PHP-Version läuft beim Hoster? (Steht meist im Kundenbereich des Hosters.) Versionen unter 8.1 bekommen keine Sicherheitsupdates mehr.
- Wie viele Plugins sind installiert, und werden alle davon wirklich gebraucht?
- Gibt es eine automatische Sicherung, und wurde die Wiederherstellung jemals getestet?
- Haben Sie selbst alle Zugangsdaten zu Domain, Hosting und Website?
- Zeigt der Browser ein Schloss-Symbol (HTTPS) ohne Warnung?
Drei Wege, und was sie wirklich kosten
| Weg | Aufwand | Wann sinnvoll |
|---|---|---|
| Weiter selbst pflegen | Regelmäßig Updates einspielen, testen, Sicherungen prüfen | Wenn jemand im Haus Zeit und Wissen hat |
| Wartungsvertrag | Laufende Monatskosten beim Dienstleister | Wenn die Seite technisch noch aktuell ist |
| Relaunch auf schlanke Technik | Einmalige Umstellung, danach kaum Pflege | Wenn Website alt, langsam oder voller Plugins ist |
Warum moderne Websites weniger Angriffsfläche haben
Die Websites, die wir bei Webseitenfreak bauen, werden fertig vorbereitet ausgeliefert: Es läuft kein PHP, keine Datenbank und kein Plugin-Zoo auf dem Server, den Angreifer ausnutzen könnten. Formulare laufen über abgesicherte Dienste. Das macht die Seite zudem deutlich schneller. Hundertprozentige Sicherheit gibt es nie, aber die typischen Einfallstore klassischer Systeme fallen weg. Wie eine Umstellung abläuft, lesen Sie im Relaunch-Ablauf. Wo Ihre Seite heute steht, zeigt der kostenlose Website-Check.
Was tun, wenn die Seite schon gehackt wurde?
- Ruhe bewahren und die Seite vorübergehend offline nehmen oder in den Wartungsmodus schalten lassen.
- Alle Passwörter ändern: Website, Hosting, Domain, E-Mail.
- Prüfen lassen, ob personenbezogene Daten betroffen sind, und gegebenenfalls die Datenschutzbehörde informieren.
- Die Seite bereinigen oder aus einer sauberen Sicherung wiederherstellen lassen.
- In der Google Search Console eine Überprüfung beantragen, damit die Warnung verschwindet.
Häufige Fragen
Reicht ein Sicherheits-Plugin nicht aus?
Es hilft, ersetzt aber keine Updates. Ein Sicherheits-Plugin ist selbst ein weiteres Plugin, das gepflegt werden muss. Entscheidend ist, dass System, PHP-Version und alle Erweiterungen aktuell sind.
Wer haftet, wenn meine Firmenwebsite gehackt wird?
Für den Datenschutz bleibt das Unternehmen als Betreiber verantwortlich, auch wenn ein Dienstleister die Seite gebaut hat. Ob der Dienstleister haftet, hängt vom Vertrag ab. Im Ernstfall sollten Sie rechtlichen Rat einholen.
Ist WordPress grundsätzlich unsicher?
Nein. WordPress selbst wird gut gepflegt. Die meisten Probleme entstehen durch veraltete Installationen, alte Plugins und fehlende Wartung. Wer dauerhaft pflegt, kann WordPress sicher betreiben.
Wann lohnt sich ein Relaunch statt weiterer Wartung?
Wenn die Seite mehrere Jahre alt ist, viele Plugins nutzt, langsam lädt oder auf dem Handy schlecht aussieht. Dann zahlen Sie Wartung für eine Seite, die ohnehin keine Kunden mehr überzeugt.
Wie finde ich heraus, ob meine Website betroffen ist?
Der 5-Minuten-Check oben gibt eine erste Einschätzung. Eine Übersicht zu Technik, Ladezeit und Auffindbarkeit liefert unser kostenloser Website-Check.
Schluss mit Update-Stress.
Sehen Sie in 24 Stunden einen Entwurf Ihrer neuen, schlanken Website. Kostenlos und unverbindlich.